# Deckt deine Touch-ID-Zugriffsprüfung auch Agentenfreigaben ab?

Eine Änderung bei der Registrierung eines Fingerabdrucks ist eine Zugriffsänderung. Behandle sie genauso ernst wie ein neues Administratorkonto, einen übertragenen Laptop oder ein wiederhergestelltes Gerät. Sie verändert, wer eine biometrische Freigabe bestätigen kann, sobald ein Agent handeln möchte.

Das klingt selbstverständlich, bis ein Deployment wartet, jemand sagt, er habe nur den Fingerabdruck des Ehepartners hinzugefügt, damit dieser den Laptop entsperren kann, und das Team sich daran erinnert, dass derselbe Computer die Nutzung von Zugangsdaten für die Produktion freigeben kann. Ich habe Teams gesehen, die sorgfältige Kontrollen für einen Agenten aufgebaut und dann den physischen Computer mit der Freigabetaste aus ihrem Zugriffsprozess herausgelassen haben. Die Schwachstelle ist selten die Kryptografie. Meist ist es eine vernünftige Abkürzung, die niemand dokumentiert hat.

Dieses Runbook behandelt hinzugefügte und entfernte Fingerabdrücke, einen Wechsel des Mac-Eigentümers und eine biometrische Sperre. Es setzt voraus, dass ein KI-Agent HTTP-Anfragen oder SSH-Verbindungen erst nach der Freigabe durch eine Person herstellen kann. Passe die Namen lokaler Rollen und Eskalationskontakte an dein Team an, aber schwäche die Entscheidungspunkte nicht ab. Wenn du nicht feststellen kannst, wer den Mac kontrolliert, darf dieser Mac keine folgenreichen Aktionen freigeben.

## Eine Änderung des Fingerabdrucks verschiebt die Freigabegrenze

Ein hinzugefügter Fingerabdruck kann einer Person ermöglichen, dieselbe biometrische Grenze wie der bisherige Eigentümer zu überschreiten. Deshalb muss der Eigentümer ihn prüfen, bevor der Computer eine weitere Agentenaktion freigibt. Es geht nicht darum, ob der neue Fingerabdruck zu einem vertrauenswürdigen Familienmitglied, Teamkollegen oder IT-Techniker gehört. Entscheidend ist, ob diese Person nun praktisch Aktivitäten freigeben kann, die mit Zugangsdaten verbunden sind, die sie nicht verwaltet.

Apples Touch-ID-Hinweise erklären, dass Fingerabdrücke auf dem Gerät registriert werden und dass macOS nach bestimmten Ereignissen ein Passwort verlangen kann, statt Touch ID zu akzeptieren. Dieser Ersatzweg ist nützlich, macht eine Registrierungsänderung aber nicht zu einer harmlosen Einstellung. Auf dem Mac gibt es weiterhin ein passwortgeschütztes Konto mit ausreichenden Rechten zur Verwaltung der Registrierung, und der physische Besitz bleibt wichtig.

Führe diese Prüfung jedes Mal durch, wenn jemand einen Fingerabdruck hinzufügt oder entfernt, unabhängig davon, ob die Änderung absichtlich oder während eines Supporteinsatzes erfolgte. Die für den Mac verantwortliche Person sollte die Prüfung abschließen, bevor sie einen Agenten verwendet, der gemeinsam genutzte Infrastruktur erreichen kann.

1. Ermittle den aktuellen Eigentümer des Geräts und das lokale Konto, das die Touch-ID-Registrierung kontrolliert. Notiere den Eigentümer, nicht ein Team-Alias.
2. Öffne die Touch-ID-Einstellungen des Mac in Anwesenheit des Eigentümers. Vergleiche die registrierten Fingerabdrücke mit den erwarteten Benutzern. Frage nach dem Grund für jeden Eintrag.
3. Bestätige, welche lokalen Konten den Mac entsperren, ihn verwalten und Geräteeinstellungen ändern können. Eine Fingerabdruckprüfung ohne Kontenprüfung übersieht die Hälfte des Wegs zur Freigabe.
4. Beende alle Agentenläufe, die vor der Änderung aktiv waren. Übertrage eine frühere Freigabeentscheidung nicht über eine veränderte Freigabegrenze hinweg.
5. Prüfe die Zugangsdaten, die der Agent von diesem Mac aus verwenden kann. Schütze die Zugangsdaten mit den schwerwiegendsten Folgen bis zum Abschluss der Prüfung durch eine neue menschliche Bestätigung.

Der schwierige Fall ist der Supporttechniker. Ein Techniker braucht möglicherweise ein Passwort und physischen Zugriff, um einen Computer zu reparieren. Das verleiht ihm aber nicht automatisch ein dauerhaftes Recht, Agentenaktionen auf diesem Gerät freizugeben. Wenn eine Supportregistrierung unvermeidbar ist, entferne den Fingerabdruck beim Abschluss der Reparatur und dokumentiere den Vorgang. Ein Ticket mit dem Vermerk „Touch ID repariert“ hält nicht fest, wer während der Reparatur den Produktionszugriff freigeben konnte.

Bitte die Leute nicht einfach zu versprechen, dass sie die Abfrage nicht berühren werden. Richte den Prozess auf die Tatsache aus, dass gemeinsam genutzter physischer Zugriff das Risiko verändert. Menschen machen Fehler, wenn eine Bestätigung routinemäßig aussieht, besonders wenn ein Agent schnell arbeitet und die Anfrage einer alltäglichen Aufgabe ähnelt.

## Eine Freigabe pro Aufruf braucht eine namentlich bekannte menschliche Entscheidung

Eine Freigabe pro Aufruf ist nur dann sicher, wenn die freigebende Person zum Zeitpunkt der Abfrage die Aktion, die Zugangsdaten und die Folgen erkennen kann. Touch ID kann nachweisen, dass eine registrierte Person mit dem Mac interagiert hat. Es kann nicht nachweisen, dass diese Person eine Anfrage verstanden hat, die ein Agent 30 Sekunden zuvor gestellt hat.

Diese Unterscheidung wird ständig verwischt. Eine biometrische Abfrage wird oft als Identitätsprüfung beschrieben und dann so verwendet, als wäre sie eine Berechtigungsprüfung. Beides hängt zusammen, beantwortet aber unterschiedliche Fragen. Bei der Identität geht es darum, ob ein registrierter Benutzer den Sensor berührt hat. Bei der Berechtigung geht es darum, ob dieser Benutzer den Aufruf jetzt erlauben sollte. Wer beides verwechselt, gibt eine destruktive Anfrage mit derselben Sicherheit frei wie einen Anmeldebildschirm.

Formuliere die Freigaberegel in Alltagssprache. Zum Beispiel: „Jeder Aufruf, der ein Produktionsdeployment ändern, ein langlebiges Token erstellen, die Abrechnung verändern oder Daten aus der Organisation senden kann, muss vom aktuellen Serviceeigentümer geprüft und freigegeben werden.“ Diese Regel benennt die menschliche Entscheidung. Sie tut nicht so, als hätte allein der Fingerabdruck die Entscheidung getroffen.

Die Freigabeabfrage braucht außerdem nützlichen Kontext. Vor der Annahme sollte der Prüfer diese Fragen beantworten können, ohne die interne Überlegung des Agenten rekonstruieren zu müssen:

- Welcher Agentenprozess hat den Aufruf ausgelöst?
- Welche Zugangsdaten verwendet der Aufruf?
- Welches Ziel erhält die Anfrage oder den SSH-Befehl?
- Welche Operation findet statt, wenn der Aufruf erfolgreich ist?
- Warum darf diese Person auf diesem Mac die Aktion freigeben?

Wenn deine Abfrage diese Fragen nicht beantwortet, korrigiere den Ablauf, bevor du den Zugriff ausweitest. Eine allgemeine Anfrage, die nur sagt, ein Agent brauche eine Berechtigung, erzeugt eine Freigabe-Show. Menschen klicken darauf, weil sie an nützlicher Arbeit gehindert werden, nicht weil sie eine informierte Entscheidung getroffen haben.

Sallyport macht diese Trennung ausdrücklich: Ein gesperrter Tresor verweigert jede Aktion, eine Sitzungsfreigabe gilt für einen Agentenprozess, bis dieser endet, und für einzelne Zugangsdaten kann eine Freigabe bei jeder Nutzung erforderlich sein. Diese feste Reihenfolge lässt sich leichter prüfen als eine improvisierte Sammlung von Ausnahmen, solange das Team die biometrische Bestätigung weiterhin als menschliche Entscheidung behandelt und nicht als magischen Stempel.

Für alltägliche Aufrufe mit geringen Folgen kann eine Freigabe pro Sitzung angemessen sein. Sie hält den Menschen während eines Laufs in Kontrolle, ohne ihn jede harmlose Les operation bestätigen zu lassen. Verwende eine Freigabe pro Aufruf, wenn ein einzelner Aufruf eine dauerhafte Änderung erzeugen oder wichtige Daten offenlegen kann. Markiere nicht jede Zugangsdaten auf diese Weise, nur um streng zu wirken. Zu viele Abfragen bringen Menschen dazu, blind zu bestätigen. Dann erscheint die wichtige Abfrage in derselben Verpackung wie alle anderen.

## Eigentumsübergaben brauchen einen klaren Bruch bei der Gerätehoheit

Wenn ein Mac den Besitzer wechselt, muss der bisherige Eigentümer die Möglichkeit verlieren, Aktionen freizugeben, bevor der neue Eigentümer ihn verwendet. Eine Übergabe ist nicht abgeschlossen, wenn der Laptop auf einem anderen Schreibtisch steht oder sich der Eintrag in der Geräteverwaltung geändert hat. Sie ist abgeschlossen, wenn lokaler Zugriff, registrierte biometrische Merkmale, Tresorzugriff, aktive Sitzungen und Zugangsdaten zur neuen Zuständigkeit passen.

Der schnellste sichere Weg ist eine vollständige Neueinrichtung. Lösche einen unternehmenseigenen Mac und richte ihn über den üblichen Verwaltungsprozess der Organisation für den neuen Eigentümer ein. So musst du dich nicht mit alten lokalen Konten, vergessenen Fingerabdrücken, Browsersitzungen, zwischengespeicherten Tokens und Entwicklungstools befassen, die die Übergabe überlebt haben. Eine Neueinrichtung kostet Zeit. Forensische Nachforschungen nach einer schlechten Übergabe dauern jedoch länger.

Manchmal ist eine vollständige Neueinrichtung unmöglich, weil sich auf dem Computer noch ein lokaler Entwicklungsstand befindet, der nicht übertragen wurde. Verwende dann ein befristetes Übergabeverfahren und lege ein Enddatum fest. Lass „Das bereinigen wir später“ nicht zum Dauerzustand eines Mac werden, der Produktionsaktionen freigeben kann.

Eine befristete Übergabe sollte in dieser Reihenfolge erfolgen:

1. Der bisherige Eigentümer meldet sich von Diensten ab, sperrt den Tresor und beendet jeden Agentenlauf. Exportiere nur das Entwicklungsmaterial, das der neue Eigentümer über einen genehmigten Weg braucht.
2. Ein Administrator entfernt das lokale Konto des bisherigen Eigentümers oder deaktiviert es gemäß den Unternehmensrichtlinien. Bestätige nach einem Neustart, dass sich der bisherige Eigentümer nicht anmelden kann.
3. Der neue Eigentümer richtet sein eigenes lokales Konto und seinen eigenen Fingerabdruck ein. Prüfe die Registrierung in Anwesenheit des Administrators und des neuen Eigentümers.
4. Stelle den Zugriff bewusst wieder her. Kopiere keine Zugangsdaten, privaten SSH-Schlüssel, Browserprofile oder lokalen Geheimdateien aus dem alten Konto, denn dadurch bleiben möglicherweise unbemerkte Zugriffswege erhalten.
5. Prüfe die Aktivitätsaufzeichnungen, nachdem der neue Eigentümer den ersten freigegebenen Agentenaufruf ausgeführt hat. Bestätige, dass Prozess, Ziel und Zugangsdaten zur Arbeit des neuen Eigentümers passen.

Die Eigentümerschaft am Mac und die Eigentümerschaft an Zugangsdaten sind getrennt. Ein Auftragnehmer kann den Computer vorübergehend besitzen, während ein Mitarbeiter Serviceeigentümer bleibt. In diesem Fall darf der Auftragnehmer nicht allein deshalb zur freigebenden Person werden, weil er das Gerät besitzt. Halte die Zugangsdaten für diesen Ablauf unzugänglich oder verlange, dass der tatsächliche Serviceeigentümer die Bestätigung auf einem freigegebenen Gerät durchführt.

Löse eine Übergabe nicht, indem du nur den Anzeigenamen änderst und das alte Profil behältst. Dieser Weg ist beliebt, weil Werkzeuge erhalten bleiben und eine langsame Einrichtung vermieden wird. Für einen Computer, der Agentenaktivitäten freigeben kann, ist er falsch. Er lässt zu viele ungeprüfte Wege offen: gespeicherte Passwörter, SSH-Konfiguration, Befehlsverlauf, lokale Repositorys und Wiederherstellungszugriff. Bequemlichkeit hat bei der Einrichtung eines Arbeitsplatzes ihren Platz. In der Beweiskette für einen Wechsel der Zuständigkeit gehört sie nicht dorthin.

## Entfernte Fingerabdrücke brauchen Belege, keine mündliche Zusicherung

Das Entfernen eines Fingerabdrucks beseitigt einen Zugangsweg, beweist aber nicht, dass der frühere Benutzer den Mac nicht mehr verwenden kann. Die Prüfung muss zeigen, dass sich die Person nicht über ein anderes lokales Konto, ein Administratorkennwort, einen Wiederherstellungsweg oder eine bereits geöffnete Sitzung authentifizieren kann.

Das ist nach einem Ausscheiden oder einem Rollenwechsel wichtig. Ein Manager kann die Entfernung eines Fingerabdrucks verlangen, weil ein Mitarbeiter nicht mehr am Service arbeitet. Das ist ein guter erster Schritt, kann aber ein falsches Sicherheitsgefühl erzeugen, wenn der Mitarbeiter das Anmeldepasswort weiterhin kennt, ein Administratorkonto behält oder ein Gerät an einem gemeinsamen Schreibtisch entsperrt zurückbleibt.

Verwende diese Belegsammlung, wenn ein Fingerabdruck von einem Mac entfernt wird:

- Der aktuelle Eigentümer öffnet die Touch-ID-Einstellungen und bestätigt, dass der Fingerabdruck fehlt.
- Ein Administrator prüft, ob frühere lokale Konten gemäß dem geltenden Aufbewahrungsverfahren deaktiviert oder entfernt wurden.
- Der aktuelle Eigentümer sperrt den Bildschirm, startet den Mac neu und bestätigt, dass nur freigegebene Personen zum Schreibtisch zurückkehren können.
- Der Serviceeigentümer prüft, welche Zugangsdaten vor der Entfernung verfügbar waren, und entscheidet, ob eine davon rotiert werden muss.
- Der Prüfer dokumentiert den Zeitpunkt der Zugriffsänderung, die beteiligten Personen und das Ergebnis der Kontrollen.

Ein Neustart ist hilfreich, weil er den beruhigenden, aber irreführenden Zustand eines bereits entsperrten Computers beseitigt. Außerdem zwingt er das Team, sich mit dem Passwortweg auseinanderzusetzen, den Touch ID normalerweise verbirgt. Wenn der frühere Benutzer den Anmeldebildschirm weiterhin passieren kann, war der Fingerabdruck nicht die Zugriffsgrenze, für die du ihn gehalten hast.

Rotiere eine Zugangsdaten, wenn die frühere Person Zugriff darauf hatte, sie hätte kopieren können oder Aufrufe freigeben konnte, während der Computer entsperrt war. Rotiere sie nicht allein deshalb, weil jemand Monate nach einer routinemäßigen Änderung einen Fingerabdruck entfernt hat, wenn du nachweisen kannst, dass die Zugangsdaten dieser Person nie zugänglich waren und das Gerät unter kontrollierter Zuständigkeit blieb. Rotation kostet Zeit, und wahllose Rotation führt dazu, dass Teams sie aufschieben, wenn sie tatsächlich nötig ist. Richte die Entscheidung danach, was die Person tun konnte, nicht nach einem Ritual.

Jetzt ist auch der richtige Zeitpunkt, Agentensitzungen zu widerrufen. Eine Sitzungsfreigabe bezieht sich auf einen bestimmten laufenden Prozess unter einer bestimmten Zugriffsbedingung. Sobald sich die freigebende Person oder die biometrische Registrierung ändert, ist diese Aussage abgelaufen. Den Agenten neu zu starten ist günstig. Später zu erklären, warum ein alter Prozess nach einer Änderung der Gerätehoheit weiter Zugriff hatte, ist es nicht.

## Eine biometrische Sperre verlangt zuerst Eindämmung

Eine Touch-ID-Sperre sollte Freigaben pausieren, bis das Team den Besitz bestätigt und den Zugriff über den vorgesehenen Wiederherstellungsweg zurückerlangt. Sperren entstehen aus gewöhnlichen Gründen: wiederholte Fehlversuche, ein Neustart, ein Sensorproblem oder weil macOS das Kontopasswort verlangt. Sie treten aber auch genau dann auf, wenn jemand unter Zeitdruck irgendeinen Weg um die Kontrolle herum finden möchte.

Lass den Computer nicht entsperrt, teile kein Kontopasswort im Chat und verschiebe keine Zugangsdaten in eine Konfigurationsdatei des Agenten. Diese Maßnahmen lösen die unmittelbare Abfrage und erzeugen einen längeren Vorfall. Der Agent darf das Geheimnis niemals erhalten, nur weil eine Person die biometrische Bestätigung nicht abschließen kann.

Verwende diese Reihenfolge zur Eindämmung:

1. Stoppe den Agentenlauf oder widerrufe seine Freigabe. Notiere den Agentenprozess und die Aktion, die er ausführen wollte.
2. Kläre die physische Gerätehoheit. Frage, wer den Mac hat, wo er sich befindet und ob jemand außerhalb der freigegebenen Gruppe ihn im entsperrten Zustand verwenden konnte.
3. Verwende das Passwort des lokalen Kontos über den normalen macOS-Weg, wenn der Eigentümer anwesend und dazu berechtigt ist. Eine Passwortanforderung nach einem Neustart ist erwartetes Verhalten und kein Beweis dafür, dass Touch ID ausgefallen ist.
4. Wenn der Eigentümer sich nicht authentifizieren kann, übergib das Gerät an den freigegebenen Support- oder Wiederherstellungsprozess. Improvisiere nicht mit dem Konto oder Fingerabdruck einer anderen Person.
5. Prüfe nach der Wiederherstellung die Registrierung, die lokalen Konten und alle versuchten Agentenaktionen, bevor du die Freigabefähigkeit wiederherstellst.

Beim fünften Schritt werden Teams nachlässig. Sie sehen den Schreibtisch wieder und erklären den Vorfall für beendet. Die Wiederherstellung beweist, dass jemand wieder Zugriff erhalten hat. Sie beantwortet aber nicht, ob die Sperre ein Hardwareproblem, unbefugte Versuche, eine geänderte Fingerabdruckliste oder eine verlassene Agentensitzung verdeckt hat. Beantworte diese Fragen, solange das Ereignis noch frisch ist. Das dauert zwei Minuten.

Auch eine Sperre während eines dringenden Releases verdient dieselbe Behandlung. Verlege die Release-Entscheidung auf einen anderen freigegebenen Computer, falls die Organisation einen solchen hat. Falls nicht, pausiere die folgenschwere Aktion. Das wird jemanden frustrieren, ist aber besser, als die Grenze für Zugangsdaten unter Zeitdruck aufzuweichen und später festzustellen, dass die Ausnahme zum dokumentierten Prozess geworden ist.

## Die Tresorsperre muss bei Unsicherheit absolut bleiben

Wenn die Zuständigkeit für den Mac oder sein biometrischer Zustand unklar ist, verweigere den Zugriff an der Tresorgrenze, bis eine verantwortliche Person die Situation geklärt hat. Eine bedingte Regel, nach der einige Agentenaufrufe während der Prüfung weiterlaufen dürfen, ist schwerer zu verstehen und viel leichter zu missbrauchen.

Hier zahlt sich ein einfaches Kontrollmodell aus. Wenn ein gesperrter Tresor alle Aktionen verweigert, muss der Bediener während einer Geräteprüfung nicht berechnen, ob eine HTTP-Anfrage harmlos genug ist. Er sperrt den Tresor, beendet betroffene Sitzungen und führt die Prüfungen durch. Die Kosten sind eine kurze Unterbrechung. Der Vorteil ist eine klare Antwort auf die Frage, die später alle stellen werden: Konnte der Agent weiter handeln, während der Gerätezugriff unklar war?

Sallyports Tresor wird auf unterstützten Macs über Secure Enclave und Touch ID hardwareseitig geschützt, und sein Sperrstatus verweigert Aktionen. Das macht eine Prüfung der Gerätehoheit nicht überflüssig. Es gibt dem Prüfer eine klare Möglichkeit zur Eindämmung, während er feststellt, wer den Computer besitzt und wer seine Freigabeanforderungen erfüllen kann.

Behaupte nicht, der Mac sei sicher, sobald der Tresor gesperrt ist. Auf dem Mac können weiterhin Quellcode, Browsersitzungen, Arbeitsnotizen oder ein lokales Konto mit weitreichenden Rechten liegen. Die Tresorsperre schützt die Aktionen, die durch den Tresor laufen. Deine Übergabe- und Vorfallprozesse müssen den restlichen Arbeitsplatz ebenfalls schützen.

Dasselbe gilt für jedes Auditprotokoll. Ein Eintrag kann zeigen, dass ein Agent eine Aktion versucht oder abgeschlossen hat. Er kann dir nicht sagen, ob jemand den früheren Eigentümer bei der Eingabe eines Passworts beobachtet hat, ob ein entsperrter Computer unbeaufsichtigt war oder ob ein Vorgesetzter eine Abfrage verstanden hat. Protokolle unterstützen eine Prüfung, sie ersetzen sie nicht.

## Audit-Einträge müssen das Geräteereignis mit der Aktion verbinden

Eine Zugriffsprüfung ist nützlich, wenn ein späterer Prüfer ein Fingerabdruck- oder Eigentumsereignis mit der Agentenaktivität in diesem Zeitraum verbinden kann. Führe einen kurzen, zusammenhängenden Eintrag, der die physische Änderung, die Prüfungen lokaler Konten, die betroffenen Sitzungen und die Entscheidung zu den Zugangsdaten verbindet.

Für ein kleines Team reicht ein kontrolliertes Ticket oder ein Sicherheitsjournal. Notiere gemäß eurem internen Verfahren die Anlagenkennung oder Seriennummer des Mac, die frühere und die aktuelle zuständige Person, die Ereignisart, den Prüfer, den Zeitraum und das Ergebnis. Füge anschließend Verweise auf den Agentensitzungseintrag und den einzelnen Aktionseintrag hinzu. Speichere keine Passwörter, Fingerabdruckbilder, Wiederherstellungsschlüssel oder kopierten Geheimnisse im Ticket.

Ein Eintrag kann so aussehen:

```text
Event: Touch ID enrollment removed
Mac custodian before: Development contractor
Mac custodian after: Platform engineer
Observed by: Device administrator
Local-account result: Former account disabled and restart check passed
Agent result: Active sessions revoked at 14:32 UTC
Credential result: Deployment credential rotated after access review
Follow-up: Clean reprovision scheduled before reassignment
```

Bei diesem Dokument geht es nicht um Papierarbeit. Es verhindert die gefährlichste Unklarheit: Eine Person glaubt, das Gerät habe den Besitzer gewechselt, eine andere glaubt, die Freigabe des Agenten sei weiterhin gültig, und eine dritte nimmt an, die Zugangsdaten seien rotiert worden, weil das in einer Besprechung erwähnt wurde. Jede Aussage braucht ein beobachtbares Ergebnis.

Sallyport schreibt sowohl Sitzungs- als auch Aufrufprotokolle in ein verschlüsseltes, hashverkettetes und schreibgeschütztes Auditprotokoll. Mit der Offline-Prüfung `sp audit verify` lässt sich feststellen, ob die verschlüsselte Kette weiterhin gültig ist, ohne dass das Tresormaterial benötigt wird. Verwende diesen Beleg für die Integrität und ergänze ihn mit deinem Eintrag zur Gerätehoheit. Eine gültige Kette macht eine unvollständige Übergabe nicht vollständig.

Prüfe die Aufzeichnungen nachträglich auf Muster, die auf Prozessprobleme hindeuten: wiederholte Sperren rund um ein Release, regelmäßige Supportregistrierungen, Freigaben von Computern mit unklaren Eigentümern oder Zugangsdaten, die für die Freigabe pro Aufruf markiert sind, aber gemieden werden, weil jede Abfrage Kontext vermissen lässt. Das sind Designprobleme. Bestrafe nicht die Person, die sie meldet. Ändere den Ablauf, der den Umweg attraktiv gemacht hat.

## Gemeinsam genutzte Macs machen persönliche Biometrie zum Teamrisiko

Ein Mac, den mehr als eine Person verwendet, sollte keine Freigabestation für sensible Agentenaktionen sein, außer das Team kann eine klare Gerätehoheit zuweisen und durchsetzen. Gemeinsam genutzte Arbeitsplätze sind in Laboren, Build-Räumen und temporären Einsatzbereichen üblich. Sie sind praktisch für die Arbeit, aber schlecht darin, zu beweisen, wer eine Berechtigungsentscheidung getroffen hat.

Die übliche Antwort lautet, dass jede Person ein eigenes Login hat. Das hilft, reicht aber nicht aus, wenn Menschen die Passwörter der anderen kennen, Sitzungen für Übergaben offen lassen oder einem hilfsbereiten Kollegen erlauben, mit seinem Fingerabdruck eine Abfrage zu passieren. Die sozialen Gewohnheiten eines kooperativen Teams können die technische Trennung leicht zunichtemachen.

Bestimme für jeden Mac, der Freigaben ermöglichen kann, eine hauptverantwortliche Person. Diese Person ist für die Prüfung der Registrierung, den Sperrstatus und die Eskalation zuständig, wenn der Computer den Ort oder den Benutzer wechselt. Wenn das Team einen gemeinsam genutzten Einsatzcomputer braucht, halte ihn aus dem Weg für Zugangsdatenfreigaben heraus oder verwende ein Verfahren, bei dem ein berechtigter Serviceeigentümer die Bestätigung auf seinem eigenen kontrollierten Gerät durchführt.

Trenne außerdem den physischen Komfort vom Zugriff auf Zugangsdaten. Ein gemeinsam genutzter Mac kann Dokumentation, Dashboards und Agentenarbeit mit Lesezugriff bereitstellen, ohne einen Weg zu Produktionszugangsdaten zu enthalten. Sobald er einen Agenten dazu berechtigen kann, gemeinsam genutzte Systeme zu verändern, brauchen sein Standort, seine Kontoeinrichtung und seine biometrische Registrierung dieselbe Sorgfalt wie bei jedem anderen privilegierten Arbeitsplatz.

Verlasse dich nicht auf ein am Monitor befestigtes Schild mit dem Text „Touch ID nicht verwenden“. Ein Schild beschreibt eine Absicht. Das System sollte die Aktion verweigern, wenn der vorgesehene Eigentümer abwesend ist, und der Prozess sollte diese Abwesenheit sichtbar machen. Wenn dein Team nicht beschreiben kann, wer den Mac entsperren, Freigaben erteilen und ihn wiederherstellen darf, entferne ihn aus dem Freigabeweg.

## Die erste Prüfung sollte vor dem nächsten Agentenlauf stattfinden

Führe die Prüfung sofort nach einer Registrierung, Entfernung, Änderung der Eigentümerschaft oder Sperre durch, weil die Belege dann am klarsten sind, bevor die normale Arbeit wieder beginnt. Wenn du bis zur vierteljährlichen Zugriffsprüfung wartest, wird aus einem konkreten Ereignis ein Gedächtnistest. Und im Gedächtnis verschwinden stille Ausnahmen besonders leicht.

Beginne mit dem Gerät in deinen Händen. Ermittle die zuständige Person, prüfe registrierte Fingerabdrücke und lokale Konten, sperre oder widerrufe den Zugriff, wenn etwas unklar ist, und beende anschließend alte Agentensitzungen. Entscheide danach, ob betroffene Zugangsdaten rotiert werden müssen, und dokumentiere das Ergebnis zusammen mit der relevanten Aktionshistorie.

Die Schwierigkeit liegt nicht darin, die macOS-Einstellungen zu öffnen. Sie liegt darin, eine Änderung beim physischen Zugriff nicht als persönliche Bequemlichkeit abzutun, wenn derselbe Mac die Nutzung echter Zugangsdaten durch einen Agenten freigeben kann. Halte diese Grenze klar. Dann ist die nächste dringende Abfrage eine Entscheidung, die du vertreten kannst.